Detecção de Movimentação Lateral no Azure

Visão Geral

A movimentação lateral no Azure AD/Entra ID difere de ambientes locais. Atacantes se movem através de concessões de consentimento de aplicativos OAuth, abuso de Service Principals, políticas de acesso entre locatários e tokens de atualização roubados, em vez de conexões SMB/RDP. A detecção requer a correlação de logs de auditoria da Microsoft Graph API, logs de entrada do Azure AD e eventos de risco do Entra ID Protection usando consultas KQL no Microsoft Sentinel. Esta habilidade abrange a construção de análises de detecção para técnicas comuns de movimentação lateral no Azure, incluindo personificação de aplicativos, abuso de delegação de caixa de correio e contornos de políticas de acesso condicional.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de movimentação lateral no Azure.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Assinatura do Azure com um workspace do Microsoft Sentinel configurado.
• Licença Azure AD P2 ou Entra ID P2 para detecção de entrada baseada em risco.
• Permissões da Microsoft Graph API: AuditLog.Read.All, Directory.Read.All, SecurityEvents.Read.All.
• Workspace do Log Analytics ingerindo AuditLogs, SigninLogs e AADServicePrincipalSignInLogs.
• Familiaridade com KQL (Kusto Query Language).

Passos

Passo 1: Configurar Ingestão de Logs

Habilite configurações de diagnóstico para transmitir logs do Azure AD para o Log Analytics:

• Logs de entrada (interativos e não interativos).
• Logs de auditoria (alterações de diretório, consentimento de aplicativos).
• Logs de entrada de Service Principal.
• Logs de provisionamento.
• Usuários arriscados e detecções de risco.

Passo 2: Construir Consultas de Detecção

Crie regras de análise KQL no Sentinel para:

• Adições incomuns de credenciais de Service Principal.
• Concessões de consentimento de aplicativos OAuth para aplicativos desconhecidos.
• Entradas entre locatários de novos locatários.
• Repetição de token de diferentes combinações de IP/user-agent.
• Alterações de delegação de caixa de correio (FullAccess, SendAs).

Passo 3: Correlacionar Eventos

Encadeie múltiplos indicadores de baixa confiança em detecções de movimentação lateral de alta confiança, correlacionando anomalias de entrada com alterações de diretório dentro de janelas de tempo.

Passo 4: Automatizar Resposta

Crie playbooks do Sentinel (Logic Apps) para revogar automaticamente concessões de OAuth suspeitas, desabilitar Service Principals comprometidos e impor autenticação de etapa adicional.

Resultado Esperado

Relatório JSON contendo indicadores de movimentação lateral detectados, cadeias de eventos correlacionadas, identidades afetadas e ações de contenção recomendadas com mapeamentos de técnicas MITRE ATT&CK.